XSS攻擊與企業(yè)級(jí)的解決方案

1、XSS攻擊與企業(yè)級(jí)的解決方案0Kee TeamXSS Cross-Site Scripting 控制你的瀏覽器XSSXSSWeb服務(wù)器1.插入XSS代碼2.訪問(wèn)受害者攻擊者3.控制瀏覽器XSS 網(wǎng)站內(nèi)的JS能做什么 權(quán)限 執(zhí)行 命令 讀取 文件 But，攻擊花樣多，覆蓋面廣XSS利用-獲取CookieXSS攻擊頁(yè)面CookieXSS利用-攻擊郵箱XSS攻擊郵箱 QQ、網(wǎng)易等郵箱都曾被XSS GMail的XSS黑市售價(jià)高昂XSS利用-攻擊郵箱XSS利用-結(jié)合CSRF?XSSCSRFXSS利用-蠕蟲(chóng)XSSCSRF蠕蟲(chóng)XSS利用-蠕蟲(chóng) 新浪微博蠕蟲(chóng)XSS利用-GetShellXSSCSRFGetSh

2、ellXSS利用-GetShellXSS利用-攻擊內(nèi)網(wǎng) XSS攻擊內(nèi)網(wǎng)獲取內(nèi)網(wǎng)IP掃描存活主機(jī)掃描主機(jī)端口識(shí)別應(yīng)用指紋內(nèi)網(wǎng)漏洞利用XSS利用-攻擊內(nèi)網(wǎng)XSS利用-釣魚(yú)XSS利用 XSS可以用來(lái)做什么普通用戶(hù)客戶(hù)端攻擊Cookies、隱私數(shù)據(jù)、IP、日志、相片、郵件、CSRF瀏覽器特權(quán)域、插件、APP、Webview蠕蟲(chóng)攻擊水坑攻擊鍵盤(pán)記錄Rootkit釣魚(yú)、劫持Cookies、Localstorage內(nèi)網(wǎng)滲透端口掃描、ST2利用、路由器管理員后臺(tái)地址、頁(yè)面源碼、管理員信息、CSRFPage 19XSS防御XSS防御方案優(yōu)勢(shì)劣勢(shì)場(chǎng)景XSS防御方案優(yōu)勢(shì)劣勢(shì)場(chǎng)景必須安全編程WAF根本解決通用性好容易

3、遺漏；第三方不可控易繞過(guò)；安全能力跟不上業(yè)務(wù)發(fā)展不適用于所有類(lèi)型；成本高XSS防御方案優(yōu)勢(shì)劣勢(shì)場(chǎng)景必須安全編程WAF根本解決通用性好容易遺漏；第三方不可控易繞過(guò)；安全能力跟不上業(yè)務(wù)發(fā)展具有身仹認(rèn)證的網(wǎng)站不適用于所有類(lèi)型；成本高Http-Only保護(hù)cookie只能保護(hù)CookieXSS防御方案優(yōu)勢(shì)劣勢(shì)場(chǎng)景必須安全編程WAF根本解決通用性好容易遺漏；第三方不可控易繞過(guò)；安全能力跟不上業(yè)務(wù)發(fā)展具有身仹認(rèn)證的網(wǎng)站不適用于所有類(lèi)型；成本高Http-OnlyCSP保護(hù)cookie只能保護(hù)Cookie有效攔截配置不方便；部署不方便；高誤報(bào)設(shè)計(jì)之初最佳;網(wǎng)站結(jié)構(gòu)清晰XSS防御方案優(yōu)勢(shì)劣勢(shì)場(chǎng)景必須安全編程WA

4、F根本解決通用性好容易遺漏；第三方不可控易繞過(guò)；安全能力跟不上業(yè)務(wù)發(fā)展具有身仹認(rèn)證的網(wǎng)站不適用于所有類(lèi)型；成本高Http-OnlyCSP保護(hù)cookie只能保護(hù)Cookie有效攔截配置不方便；部署不方便；高誤報(bào)設(shè)計(jì)之初最佳;網(wǎng)站結(jié)構(gòu)清晰？配置方便；部署方便；低誤報(bào)？仸何網(wǎng)站前端主動(dòng)防御方案-護(hù)心鏡 護(hù)心鏡是JavaScript=以js對(duì)抗js 監(jiān)控頁(yè)面=實(shí)時(shí)阻斷幵告警護(hù)心鏡8大功能防御未知腳本加載Http-Only盜取Cookie模擬護(hù)心鏡XSS平臺(tái)釣魚(yú)WebShell密碼竊取上傳XSS測(cè)試技術(shù)實(shí)現(xiàn)技術(shù)實(shí)現(xiàn)：事件與告警反卸載技術(shù)的對(duì)抗-保護(hù)自己 自身變量安全：閉包 保護(hù)全局變量：護(hù)心鏡所調(diào)用的全局變量 保證護(hù)心鏡所使用的變量、凼數(shù)、對(duì)象不被外部js篡改。護(hù)心鏡-實(shí)例護(hù)心鏡-平臺(tái)護(hù)心鏡-實(shí)踐內(nèi)部外部200余后臺(tái)500次攻擊2000余網(wǎng)10000次站攻擊XSS防御總結(jié)方案優(yōu)勢(shì)劣勢(shì)場(chǎng)景安全編程Http-OnlyWAF根本解決保護(hù)cookie通用性好容易遺漏；必須第三方不可控只能保護(hù)Cookie具有身仹認(rèn)證的網(wǎng)站安全能力跟不上業(yè)務(wù)發(fā)展易繞